Neue Anforderungen an die Cybersicherheit betreffen Unternehmen in unterschiedlichen Rollen: als Betreiber von IT-Diensten, als Softwarehersteller oder als Anbieter digitaler Produkte. Dabei werden NIS2 und der Cyber Resilience Act (CRA) häufig gemeinsam genannt. Doch wer welche Pflichten erfüllen muss, hängt von unterschiedlichen Voraussetzungen ab.
NIS2 richtet sich an bestimmte Einrichtungen und deren Betrieb. Der CRA stellt Anforderungen an digitale Produkte, die auf dem EU-Markt bereitgestellt werden. Dieser Artikel erklärt, wen die Regelwerke betreffen, welche Pflichten daraus entstehen und wie eine Software Bill of Materials (SBOM) beim Umgang mit Schwachstellen hilft. Ein fiktives Beispiel zeigt, wie diese Anforderungen im Unternehmensalltag zusammenkommen.
NIS2 und CRA: Der grundlegende Unterschied
NIS2 und der Cyber Resilience Act (CRA) sollen die Cybersicherheit verbessern. Sie setzen jedoch an unterschiedlichen Stellen an: NIS2 richtet sich in Deutschland an bestimmte Einrichtungen und deren Betrieb. Der CRA stellt Anforderungen an Hard- und Softwareprodukte, die auf dem EU-Markt bereitgestellt werden. Ein Unternehmen kann von einem der beiden Regelwerke betroffen sein – oder von beiden.
Für eine erste Einordnung helfen zwei Fragen: Welche Dienste erbringen wir? Und: Welche digitalen Produkte bringen wir auf den Markt?
NIS2: Sicherheit der betroffenen Einrichtung
Die NIS2-Richtlinie wurde in Deutschland durch Änderungen des BSI-Gesetzes umgesetzt. Die entsprechenden Pflichten gelten seit dem 6. Dezember 2025. Das Gesetz unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Entscheidend sind vor allem die gesetzlich erfasste Tätigkeit und die Größe der Einrichtung; für einzelne Einrichtungsarten gelten Sonderregeln. Das BSI erläutert die Betroffenheit und die gesetzlichen Voraussetzungen.
Erfasst werden beispielsweise bestimmte Einrichtungen aus den Bereichen Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Lebensmittel oder industrielle Produktion. Die Zugehörigkeit zu einer Branche allein reicht für eine sichere Einordnung nicht aus: Es kommt auf die konkrete Einrichtungsart in den Anlagen des BSI-Gesetzes an.
Als erste Orientierung für viele dieser Einrichtungsarten gilt:
| Einordnung | Typische Größenschwelle |
| Wichtige Einrichtung | Mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Jahresbilanzsumme |
| Besonders wichtige Einrichtung | Mindestens 250 Beschäftigte oder mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Jahresbilanzsumme |
Diese Übersicht ersetzt keine Einzelfallprüfung. Betreiber kritischer Anlagen und bestimmte Anbieter digitaler Dienste können anders eingeordnet werden; auch verbundene Unternehmen und Sonderregelungen können relevant sein. Für eine erste Einschätzung bietet das BSI eine NIS2-Betroffenheitsprüfung an. Maßgeblich sind die gesetzlichen Einrichtungsarten und Größenschwellen.
Was müssen betroffene Einrichtungen tun?
Zu den Pflichten gehören angemessene und dokumentierte Maßnahmen zum Risikomanagement. Das BSI-Gesetz nennt unter anderem den Umgang mit Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs, die Sicherheit der Lieferkette sowie das Management von Schwachstellen. Auch die Geschäftsleitung hat Pflichten bei Umsetzung und Überwachung der Maßnahmen. Eine allgemeine Pflicht, für jedes eingesetzte Produkt eine SBOM zu erstellen, lässt sich aus diesen Anforderungen an das Risikomanagement nicht ableiten. Eine Komponentenübersicht kann jedoch helfen, Risiken in selbst entwickelter Software und in der Lieferkette schneller zu erkennen.
Betroffene Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten nach Eintritt ihrer Betroffenheit im BSI-Portal registrieren. Das BSI erläutert die Registrierung und weiteren Pflichten.
Dort erfolgt auch die Meldung erheblicher Sicherheitsvorfälle. Für solche Vorfälle sieht das Gesetz eine frühe Erstmeldung spätestens nach 24 Stunden und eine weitere Meldung spätestens nach 72 Stunden nach Kenntniserlangung vor. Ob ein Ereignis die Schwelle eines erheblichen Sicherheitsvorfalls erreicht, muss anhand seiner tatsächlichen oder möglichen Auswirkungen geprüft werden. Dazu zählen etwa schwerwiegende Betriebsstörungen oder erhebliche Schäden für andere Personen. Weitere Informationen bietet das BSI zur NIS2-Meldepflicht.
